CVE-2026-89248 in AVideo
الملخص
بحسب VulDB • 11/09/2026
يحتوي AVideo، بدءًا من الإضافة c3edcc274c389816d434acadac07ee78eaf330c1، على ثغرة ناجمة عن عدم وجود فحص للمصادقة/التفويض في الملف plugin/WebRTC/status.json.php. عندما يكون مكون WebRTC موجودًا، يمكن لأي مستخدم بعيد غير مصرح له طلب /plugin/WebRTC/status.json.php والحصول على بيانات JSON تحتوي على المسار المطلق لملف البرنامج المساعد (helper binary) الخاص بـ WebRTC2RTMP (مما يكشف عن مسار جذر المستند document-root)، والمنفذ المُعدّ لاستخدامه مع WebRTC، وحالة الملفات (file_exists/is_executable) الخاصة بالبرنامج المساعد، ومحتويات ملفات السجل/JSON الخاصة بـ WebRTC (مثل videos/WebRTC2RTMP.log) عند وجودها، وما إذا كان المنفذ المُعدّ قابلاً للوصول عبر حلقة التكرار المحلية (127.0.0.1) وعن طريق العنوان العام. لا يقوم نقطة النهاية بإجراء أي فحص لـ User::isLogged() أو User::isAdmin() أو forbiddenPage(). كانت هذه المشكلة غير مُصلحة في وقت الإبلاغ عنها.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.